dsh-permission-rules 0.5.0 → 0.5.2

package/CHANGELOG.md

@@ -2,6 +2,23 @@
 
 All notable changes to dsh-permission-rules are recorded here, newest first.
 
+## v0.5.2 — 2026-08-19
+
+### Fixed
+
+- **Client dictionaries survive hot-reload**: the browser half now holds the `locale.register` disposer through the plugin fiber's `ctx.effect` (the locale registry throws on a duplicate namespace). Disposing the client fiber unregisters the `settings.permissionRules` dictionaries; remounting re-registers cleanly instead of failing the mount until the next page refresh. Regression covered by a dispose-and-remount client test against a duplicate-strict locale registry.
+
+## v0.5.1 — 2026-08-17
+
+### Added
+
+- **Shared rule-syntax test vectors** (`docs/rule-test-vectors/`): an implementation-neutral conformance corpus (schema `dsh-rule-test-vectors/v1`) covering exact/glob tool matches, params globs and negation, path patterns, `when.platform`/`when.env`, the `agents` identity dimension, `absent`, first-match ordering, and disabled rules. `test/test-vectors.spec.ts` proves every case through the real parser/matcher — the reference implementation for the cross-gate corpus agreed with sjh9714 (issues #4/#5).
+
+### Changed
+
+- `scripts/repair-session-logs.mjs` default target set now covers all five `autoReview/*` event types (`state`, `verdict`, `circuit`, `override`, `rejection`) in addition to `permissionRules/decision`, so sessions polluted by `dsh-auto-review` ≤ 0.5.0 on rc.6 hosts repair in one pass.
+- The dsh-auto-review integration dependency moves to `vendor/dsh-auto-review-0.5.1.tgz` (its rc.6 audit-gating fix); the integration specs mount it with `allowUnmarkedAudit: true` so the asserted audit chain stays testable against the rc.6 peers.
+
 ## v0.5.0 — 2026-08-16
 
 ### Added

package/README.es.md

@@ -4,7 +4,7 @@
 
 **Reglas de permisos declarativas estilo Claude Code para DeepSeek Harness.**
 
-*Las reglas deciden lo conocido. Un modelo revisor decide lo desconocido.*
+*Las reglas deciden lo conocido. Un modelo revisor decide lo que no lo es.*
 
 [![License](https://img.shields.io/badge/license-Apache%202.0-blue.svg)](LICENSE)
 [![DSH plugin](https://img.shields.io/badge/dsh-plugin-✅-green)](https://github.com/topics/dsh-plugin)
@@ -20,179 +20,200 @@
 
 ---
 
-## Qué hace
+## Compatibility
 
-`dsh-permission-rules` coloca una lista ordenada de reglas **`allow` / `deny` / `ask`** delante de cada llamada a herramienta en el waterfall `tools/pre-execute`: determinista, instantánea, auditable y escrita por ti en YAML plano:
-
-- **`deny`** bloquea la llamada. El `reason` de la regla se convierte en el error visible para el modelo, para que el agente aprenda *por qué* en lugar de reintentar a ciegas.
-- **`ask`** usa el seam de aprobación oficial. Monta `dsh-auto-review` junto a él y una segunda modelo decide; si no, responde un humano; sin ninguno de los dos, el harness falla cerrado (fail-closed).
-- **`allow`** (y la ausencia de coincidencia) delega estrictamente mediante `next()`: los listeners posteriores nunca se cortocircuitan.
-
-Cada acierto **y** cada paso directo se audita como evento de sesión `permissionRules/decision` (solo registro, sin inyectar nada extra al contexto del modelo).
-
-```text
-waterfall tools/pre-execute                     waterfall approval/request (cadena de answerers)
-        │                                                   │
-  dsh-permission-rules                                answerer dsh-auto-review
-   · primera coincidencia en orden    ┌───────────────────┴──────────────┐
-   · deny/ask reclaman la llamada     │ veredicto de IA (segundo modelo)  │ no ── next() ──▶ UI humana
-   · allow/paso → next()              └───────────────────┬──────────────┘
-        │ deny ──▶ resultado denegado                    │ allowed-once / rejected
-        │ ask  ──▶ ctx.approval ─────────────────────────┘
-        │
-   auditoría: permissionRules/decision → approval/asked → autoReview/verdict → approval/decided
-```
-
-## ¿Por qué reglas *y* un revisor?
-
-Un segundo modelo responde *"¿es segura ESTA llamada?"* con criterio, pero cuesta un viaje de ida y vuelta y puede equivocarse. Las reglas declarativas responden de forma determinista, instantánea y sin modelo, pero solo cubren lo que un administrador escribió. Combinados obtienes el bucle **"primero reglas, IA de respaldo"**: las reglas deciden lo conocido, el revisor decide lo desconocido.
-
-## Características
+| Surface | Status |
+|---|---|
+| Harness | DeepSeek Harness `0.1.0-rc.5`–`0.1.0-rc.6` |
+| Node | `^22.19.0 || >=24.0.0` |
+| Platforms | Todas (host + cliente web de settings) |
+| Model | Cualquiera (las razones deny/ask se muestran a través de los resultados de herramienta) |
 
-- ✅ **Semántica de tres estados** — `allow`, `deny`, `ask`, evaluadas en orden de archivo; gana la primera coincidencia
-- ✅ **Coincidencia rica** — globs de nombre de herramienta (incluido `mcp__*`), selectores de identidad de agente (`main` / `subagent` / `preset:*`), globs **o** regex de clave/valor de argumentos (con negación `!pattern` y la dimensión de clave `absent`), globs de rutas relativas al workspace extraídos de claves de argumentos documentadas a **cualquier profundidad de anidamiento**, y condiciones de host `when` (variables de entorno, plataforma)
-- ✅ **Archivos de reglas jerárquicos** — `searchUp` opcional combina cada `.dsh/rules.yaml` desde el cwd de la sesión hasta la raíz del sistema de archivos, el más cercano primero, para que un proyecto hijo pueda sobrescribir las reglas del padre
-- ✅ **Metadatos de reglas** — `enabled: false`, `description`, `tags`; `/rules` advierte sobre reglas eclipsadas por un catch-all anterior
-- ✅ **Seguro para el waterfall** — `allow`/paso siempre llaman a `next()`; solo `deny`/`ask` cortocircuitan
-- ✅ **Seam de aprobación oficial** — `ask` fluye por `ctx.approval`; nunca reimplementado, nunca eludido
-- ✅ **Auditoría completa** — los eventos `permissionRules/decision` llevan la acción de la regla, el cwd del workspace Y el resultado final de cada llamada; `/rules decisions` reproduce el rastro en la sesión; los hosts anteriores al marcador de envoltura de auditoría degradan a auditoría desactivada con un aviso único en lugar de escribir registros irrecuperables (`allowUnmarkedAudit` la reactiva)
-- ✅ **Despliegue en simulación** — `enforce: false` audita lo que la política *haría* (acción hipotética + resultado real posterior, marcado `dryRun`) mientras deja pasar todas las llamadas; prueba segura de políticas en producción
-- ✅ **Prueba en seco** — `/rules test <tool> <json-args>` evalúa las reglas activas sin ejecutar nada, con sobrescrituras `--cwd`, `--env`, `--agent` y `--platform` para cada dimensión
-- ✅ **Recarga en caliente** — vigilancia Chokidar con debounce; una edición rota conserva las reglas previas, nunca falla; un archivo de reglas creado a mitad de sesión (el del proyecto o el fallback) se adopta automáticamente, sin recarga manual
-- ✅ **Fallo ruidoso** — YAML inválido, acciones/campos desconocidos, globs/regex incorrectos, patrones propensos a backtracking o > `maxRules` hacen fallar la carga
-- ✅ **Ruta caliente acotada** — matchers precompilados, O(reglas × patrones), limitado por `maxRules`; el grado de backtracking de glob limitado por `maxGlobStars`
+## What you get
 
-## Inicio rápido
+`dsh-permission-rules` antepone una lista ordenada de reglas **`allow` / `deny` / `ask`** a cada llamada de herramienta en la cascada `tools/pre-execute` — determinista, instantánea, auditable y escrita por ti en YAML plano:
 
-```sh
-# 1. instala el bundle en tu perfil
-dsh plugin --profile web add "github:PerryLink/dsh-permission-rules#main"
+- **`deny`** bloquea la llamada; la `reason` de la regla se convierte en el error visible para el modelo.
+- **`ask`** usa la costura oficial de aprobación (monta `dsh-auto-review` para un answerer de segundo modelo, o responde un humano; sin ninguno, el harness falla cerrado).
+- **`allow`** (y sin coincidencia) delega estrictamente vía `next()` — los listeners posteriores nunca se cortocircuitan.
 
-# o desde un tarball empaquetado (artefactos compilados, sin permiso de build)
-pnpm pack
-dsh plugin --profile web add ./dsh-permission-rules-0.4.1.tgz
+Cada acierto **y** cada paso directo se registra como un evento de sesión `permissionRules/decision` (solo registro — nada extra se inyecta en el contexto del modelo).
 
-# 2. reinicia
-dsh --profile web
-```
+- **Emparejamiento rico** — globs de nombre de herramienta (incl. `mcp__*`), selectores de identidad de agente (`main` / `subagent` / `preset:*`), globs **o** regexes de clave/valor de argumentos (con negación `!pattern` y una dimensión de clave `absent`), globs de ruta relativos al workspace a **cualquier profundidad de anidamiento**, y condiciones de host `when` (variables de entorno, plataforma).
+- **Archivos de reglas jerárquicos** — `searchUp` opcional fusiona cada `.dsh/rules.yaml` desde el cwd de la sesión hasta la raíz del sistema de archivos, el más cercano primero.
+- **Despliegue en dry-run** — `enforce: false` audita lo que la política *haría* mientras deja pasar cada llamada.
+- **Recarga en caliente** — vigilancia Chokidar con debounce; una edición rota conserva las reglas anteriores, nunca falla.
+- **Fallo ruidoso** — YAML inválido, acciones/campos desconocidos, globs/regexes malos, patrones propensos a backtracking o más de `maxRules` reglas fallan la carga.
 
-Luego crea el archivo de reglas de tu proyecto e inicia una sesión dentro de él:
+## Rule syntax
 
 ```yaml
 # <project>/.dsh/rules.yaml
 rules:
   - match: { tools: [bash, pwsh], params: { command: "git push*" }, paths: ["**/secrets/**"] }
     action: deny
-    reason: "Prohibido push desde rutas protegidas"
+    reason: "No pushes from protected paths"
 
   - match: { tools: [edit, write] }
     action: ask
-    reason: "La escritura de archivos necesita confirmación"
+    reason: "File writes need confirmation"
 ```
 
+- **Dimensiones de coincidencia** — `tools` (globs, incl. `mcp__*`), `agents` (`main` / `subagent` / `preset:<name>`; identidad desconocida nunca coincide — falla cerrado), `params` (globs o regexes de clave/valor, negación `!pattern`, dimensión de clave `absent`), `paths` (globs relativos al workspace extraídos a cualquier profundidad), `when` (globs/regexes de variables `env` + una lista `platform` cerrada), y `network` (`domains` / `ips` / `ports` / `schemes` — globs, comodines, CIDR, rangos de puertos).
+- **Acciones** — `allow` / `deny` / `ask`, evaluadas en orden de archivo, la primera coincidencia gana.
+- **Metadatos de regla** — `enabled: false` (visible pero inerte), `description`, `tags`; los campos desconocidos fallan la carga.
+- **Schema** — un JSON Schema se distribuye en [docs/rules-format.schema.json](docs/rules-format.schema.json) (autocompletado de editor vía `# yaml-language-server: $schema=...`); el vocabulario completo y una línea base de 5 reglas viven en [docs/rules-format.en.md](docs/rules-format.en.md).
+
+## Network policy
+
+Una **política de red a nivel de proceso** estilo Codex: el tráfico de subprocesos de shell fluye a través de un **proxy HTTP/CONNECT** local integrado, y cada conexión se decide mediante reglas de red ordenadas o mediante tres modos mapeados sobre los presets oficiales del sandbox:
+
+- **`deny-all`** — el preset de sandbox de solo lectura: bloquear todo el tráfico saliente.
+- **`whitelist`** — el preset workspace-write: permitir los destinos listados, `unlisted: ask` (o `deny`) para el resto.
+- **`allow-all`** — el preset danger-full-access: permitir todo.
+- **`auto`** (por defecto) — sigue el preset del sandbox; en hosts sin el servicio de política de sandbox se resuelve a `autoFallback` (`allow-all`).
+
+- **Emparejamiento** — `match.network` con `domains` / `ips` / `ports` / `schemes` (globs, comodines, CIDR, rangos de puertos; se aceptan puertos YAML numéricos). La extracción de candidatos URL en la ruta caliente `tools/pre-execute` se dispara sobre argumentos de herramientas web y URLs embebidas en texto de comandos bash/pwsh; los destinos de loopback pueden cortocircuitar reglas según la política `loopback`.
+- **Auditoría** — las conexiones denegadas anexan `permissionRules/network` a la sesión propietaria (la misma puerta adaptativa `ignorable`), con contadores de bloqueo e intercepciones recientes en `/rules network` y la página de settings.
+
+## Quick start
+
 ```sh
-dsh --profile web --dump-config | grep -A4 'id: permission-rules'   # verifica la fila
+# 1. install the bundle into your profile
+dsh plugin --profile web add "github:PerryLink/dsh-permission-rules#main"
+
+# or from npm (published releases)
+dsh plugin --profile web add dsh-permission-rules
+
+# 2. restart and verify the row
+dsh --profile web --dump-config | grep -A4 'id: permission-rules'
 ```
 
-Una línea base de seguridad completa de 5 reglas y el esquema completo están en [docs/rules-format.en.md](docs/rules-format.en.md).
+## Install & uninstall
 
-## Configuración
+- **canal git** (último `main`): `dsh plugin --profile web add "github:PerryLink/dsh-permission-rules#main"` — el script `prepare` compila solo con dependencias de producción.
+- **canal npm** (versiones publicadas): `dsh plugin --profile web add dsh-permission-rules`.
+- **canal tarball**: `pnpm pack` en este repo, luego `dsh plugin --profile web add ./dsh-permission-rules-<version>.tgz`.
+- **desinstalar**: `dsh plugin --profile web remove dsh-permission-rules`.
 
-Todos los ajustes son campos `Config` de Schemastery (modificables desde cordis.yml). Una sobrescritura dirigida por id reemplaza toda la fila: vuelve a escribir todas las claves que necesites.
+## Configuration
 
-| Clave | Predeterminado | Significado |
+Todos los parámetros son campos Schemastery `Config` (modificables desde cordis.yml). Una sobrescritura dirigida por id reemplaza toda la fila — reafirma cada clave que necesites.
+
+| Key | Default | Meaning |
 |---|---|---|
 | `rulesFile` | `.dsh/rules.yaml` | Ubicación del archivo de reglas; relativo = resuelto contra el cwd de la sesión, absoluto = global y validado al montar |
-| `fallbackPath` | *(ninguno)* | Archivo de reglas usado cuando la detección por cwd no encuentra nada; validado al montar |
-| `badFilePolicy` | `fail` | Archivo roto: `fail` hace fallar ruidosamente la llamada pendiente (las recargas conservan las reglas previas); `ignore-with-warning` advierte y continúa vacío |
-| `maxRules` | `256` | Límite duro de reglas en toda la cadena de fuentes efectiva; archivos mayores fallan la carga |
-| `maxCachedWorkspaces` | `512` | Límite duro de cargas de reglas por espacio de trabajo en caché; más allá se expulsa el menos usado recientemente (y su watcher) |
-| `patternMode` | `glob` | Tipo de patrón para `params`/`paths`/`when.env`: `glob` o `regex` (los nombres de herramienta siempre son globs) |
+| `fallbackPath` | *(none)* | Archivo de reglas usado cuando la detección por cwd no encuentra nada; validado al montar |
+| `badFilePolicy` | `fail` | Archivo de reglas malo: `fail` hace fallar la llamada pendiente ruidosamente; `ignore-with-warning` advierte y continúa vacío |
+| `maxRules` | `256` | Límite duro de recuento de reglas en la cadena fuente efectiva |
+| `maxCachedWorkspaces` | `512` | Límite duro de cargas de reglas por workspace en caché (evicción LRU) |
+| `patternMode` | `glob` | Sabor de patrón `params`/`paths`/`when.env`: `glob` o `regex` (los nombres de herramienta siempre son globs) |
 | `watch` | `true` | Vigilancia Chokidar + recarga al cambiar |
 | `watchStabilityThresholdMs` | `200` | Ventana de debounce de recarga (ms) |
-| `language` | `en` | Idioma de salida de `/rules`: `en`, `zh`, `es`, `pt`, `hi` (`en`/`zh` son las traducciones de referencia) |
-| `caseInsensitivePaths` | *(win32)* | Los patrones de `paths` y la comparación con la raíz del workspace ignoran las mayúsculas ASCII; por defecto `true` en Windows, `false` en los demás |
-| `audit` | `all` | Granularidad de auditoría: `all` registra cada acierto Y cada paso; `hits` omite los eventos de paso |
-| `searchUp` | `false` | Recorre los directorios padre desde el cwd de la sesión y combina cada archivo de reglas encontrado, el más cercano primero |
-| `maxGlobStars` | `2` | Límite duro de cuantificadores `*`/`**` sin límite por patrón glob (cota del grado de backtracking) |
-| `enforce` | `true` | `false` = modo simulación: los aciertos deny/ask solo se registran en auditoría con un marcador `dryRun` (acción hipotética + resultado real posterior) y todas las llamadas pasan — prueba una política antes de aplicarla |
-| `allowUnmarkedAudit` | `false` | Los hosts cuyo `Session.append` es anterior al marcador `ignorable` (la línea `0.1.0-rc.6`) escriben eventos de auditoría sin marcar, haciendo las sesiones irrecuperables en builds más estrictos: el plugin los detecta y desactiva la auditoría del registro de sesión con un aviso único. Ponlo en `true` para reactivar el rastro en la sesión (repara los registros existentes con `scripts/repair-session-logs.mjs`) |
-
-### Comandos de sesión
+| `language` | `en` | Idioma de salida de `/rules`: `en`, `zh`, `es`, `pt`, `hi` |
+| `caseInsensitivePaths` | *(win32)* | Los patrones `paths` y la comparación de raíz del workspace ignoran mayúsculas ASCII; `true` en Windows |
+| `audit` | `all` | Granularidad de auditoría: `all` registra cada acierto Y paso directo; `hits` omite eventos de paso |
+| `searchUp` | `false` | Recorrer directorios padre desde el cwd y fusionar cada archivo de reglas encontrado, el más cercano primero |
+| `maxGlobStars` | `2` | Límite duro de cuantificadores `*`/`**` no acotados por patrón glob |
+| `enforce` | `true` | `false` = modo dry-run: los aciertos deny/ask se registran con marcador `dryRun` y cada llamada pasa |
+| `allowUnmarkedAudit` | `false` | Los hosts previos al marcador descartan el marcador `ignorable`; el plugin desactiva la auditoría de registro con una advertencia. Pon `true` para reactivar |
+| `network.enabled` | `true` | Interruptor maestro del proxy, la inyección de entorno y los modos por defecto de herramienta web |
+| `network.mode` | `auto` | Modo de política: `auto` sigue el preset del sandbox, o `deny-all` / `whitelist` / `allow-all` |
+| `network.autoFallback` | `allow-all` | Modo usado cuando `auto` no tiene servicio de política de sandbox |
+| `network.unlisted` | `ask` | Manejo en modo whitelist de destinos sin regla coincidente: `ask` o `deny` |
+| `network.proxyBind` | `127.0.0.1` | Dirección de enlace del proxy local (solo loopback) |
+| `network.proxyPort` | `0` | Puerto del proxy local; `0` elige un puerto efímero libre |
+| `network.proxyMaxRecent` | `100` | Límite de registros de bloqueo recientes para la página de settings |
+| `network.loopback` | `allow` | Destinos de loopback: `allow` (paridad Codex) o `policy` |
+| `network.injectEnv` | `true` | Si se inyectan variables de entorno del proxy para subprocesos |
+| `network.noProxy` | `clear` | Manejo de NO_PROXY en subprocesos: `clear` aplica la política o `preserve` |
+
+## Tools & surfaces
+
+| Surface | Kind | Notes |
+|---|---|---|
+| `tools/pre-execute` | listener | Reglas allow/deny/ask de primera coincidencia + extracción de candidatos URL de red |
+| `/rules` | command | `list` · `reload` · `decisions [n]` · `test <tool> <json>` |
+| `permissionRules/decision` | event | Auditoría solo de registro para cada acierto y paso directo |
+| `permissionRules/network` | event | Auditoría de capa de proxy para conexiones bloqueadas |
+| HTTP/CONNECT proxy | service | Proxy local integrado que gobierna el tráfico de subprocesos de shell |
+| settings page | client | Editor de modo de red, editor de reglas, contadores de bloqueo, intercepciones recientes |
 
 ```
-/rules                        lista las reglas activas, sus archivos fuente y cualquier error de la última recarga
-/rules list                   alias explícito del listado simple
-/rules reload                 relee la cadena de archivos de reglas de este workspace
-/rules decisions [n]          muestra las últimas n decisiones de permisos de esta sesión (por defecto 10)
-/rules test <tool> <json>     evalúa en seco las reglas contra una llamada hipotética, p. ej. /rules test bash {"command":"git push origin main"}
+/rules                        list the active rules, their source files, and any last-reload error
+/rules list                   explicit alias for the bare listing
+/rules reload                 re-read the rule-file chain for this workspace
+/rules decisions [n]          show the last n permission decisions of this session (default 10)
+/rules test <tool> <json>     dry-evaluate the rules against a hypothetical call
 ```
 
-`/rules test` también acepta banderas iniciales: `--cwd <dir>` evalúa contra otro workspace, `--env CLAVE=VALOR` (repetible) sobrescribe el entorno para `when.env`, `--agent <selector>` (repetible) suministra candidatos de identidad para la dimensión `agents`, y `--platform <nombre>` sobrescribe la plataforma para `when.platform`. En cadenas de varios archivos (p. ej. `searchUp`), cada línea de regla se atribuye a su propio archivo fuente.
+`/rules test` también acepta banderas iniciales: `--cwd <dir>`, `--env KEY=VALUE` (repetible), `--agent <selector>` (repetible) y `--platform <name>`. En cadenas multi-archivo (p. ej. `searchUp`), cada línea de regla listada se atribuye a su propio archivo fuente.
 
-La salida de los comandos es solo UI: el modelo aprende las reglas únicamente a través de los resultados de herramienta que producen. `language` elige el idioma de salida. Un JSON Schema del archivo de reglas se distribuye en [docs/rules-format.schema.json](docs/rules-format.schema.json) (conéctalo con `# yaml-language-server: $schema=...` para autocompletado en el editor).
+## Permissions & data
 
-## Colaboración con dsh-auto-review
+- **Permissions**: el manifiesto de workshop declara `files:read`, `files:watch`, `files:write`, `session:append` y `network:outbound`. Las decisiones `ask` usan la costura oficial de aprobación — nada se reimplementa ni se evade.
+- **Data**: los archivos de reglas se leen del disco; no se escribe ningún dato de reglas. Sin llamadas al modelo, sin subagentes revisores.
+- **Session log**: `permissionRules/decision` nunca se inyecta en el contexto del modelo y se anexa con el marcador `ignorable: true` del sobre, de modo que cualquier build del harness carga el registro.
 
-- `dsh-permission-rules` produce `ask`; `dsh-auto-review` responde en el waterfall `approval/request` con un veredicto de un segundo modelo de solo lectura (o delega a humanos). Monta ambos para el bucle completo.
-- Probado en integración (`test/integration.spec.ts`): `permissionRules/decision` → `approval/asked` → `autoReview/verdict` → `approval/decided`, con el revisor sustituido por un mock.
-- La política de aprobación `never` y todas las garantías fail-closed del [harness oficial](https://github.com/deepseek-ai/deepseek-harness) permanecen intactas.
+## Security boundaries
 
-## Límites de seguridad
+- **Política, no kernel.** Los candidatos `paths` provienen solo de un conjunto documentado de claves de argumento (a cualquier profundidad, con tope), y solo coinciden las rutas relativas al workspace.
+- **Aquí no hay revisor.** El plugin nunca genera subagentes ni llama modelos — producir una decisión `ask` es el fin de su trabajo.
+- **Sin cambios de sandbox.** La política de sandbox a nivel de SO pertenece a la costura del sandbox, no a este plugin.
+- **Rechazo ruidoso de mala configuración.** Campos YAML desconocidos, acciones desconocidas y patrones malos se rechazan al cargar.
+- **Límites de backtracking.** Los patrones glob se limitan a `maxGlobStars` expansiones de estrella no acotadas; los patrones regex rechazan cuantificadores anidados no acotados y alternancias literales solapadas cuantificadas.
 
-- **Política, no kernel.** Los candidatos de `paths` provienen solo de un conjunto documentado de claves de argumentos, y solo coinciden rutas relativas al workspace.
-- **Aquí no hay revisor.** El plugin nunca lanza subagentes ni llama modelos: producir una decisión `ask` es el final de su trabajo.
-- **Sin cambios de sandbox.** La política de sandbox a nivel de SO pertenece al seam de sandbox, no a este plugin.
-- **Mala configuración ruidosa.** Campos YAML desconocidos, acciones desconocidas y patrones incorrectos se rechazan al cargar, nunca se ignoran en silencio.
-- **Límites de backtracking.** Los patrones glob están limitados a `maxGlobStars` expansiones de estrella sin límite; los patrones en modo regex rechazan cuantificadores anidados sin límite y alternancias literales superpuestas cuantificadas. (Las cadenas regex como `\d+\.\d+\.\d+` siguen permitidas: el modo regex es la válvula de escape, el modo glob es el predeterminado protegido.)
+## Known limitations
 
-## Trabajo relacionado
+- **Marcador de auditoría en hosts previos al marcador.** `permissionRules/decision` se anexa con `ignorable: true`; los hosts cuyo `Session.append` es anterior al marcador (la línea `0.1.0-rc.6`) lo descartan silenciosamente, por lo que el runtime desactiva la auditoría de registro con una advertencia única. Pon `allowUnmarkedAudit: true` para reactivar; repara registros ya escritos con `scripts/repair-session-logs.mjs`.
+- **Los candidatos de ruta son heurísticos.** Solo las claves de argumento documentadas alimentan el emparejamiento de rutas, y el emparejamiento relativo al workspace es insensible a mayúsculas ASCII solo con `caseInsensitivePaths` activado.
+- **Los globs son un subconjunto conservador.** Sin expansión de llaves — escribe dos patrones, o usa modo regex.
+- **La guardia de backtracking de regex es estructural, no exhaustiva.** Prefiere el modo glob para archivos no confiables.
 
-- [Andy8647/dsh-auto-approval](https://github.com/Andy8647/dsh-auto-approval) — clasificador allow/deny de dos estados con auditoría en archivo propio; este plugin añade la semántica completa de tres estados, reglas YAML declarativas, auditoría en el log de sesión y delegación segura con `next()`.
-- `Drifter-yh/dsh-tool-policy` — política de herramientas deny-by-default; documentada aquí para evitar implementaciones duplicadas.
-- `dsh-auto-review` — la mitad de respaldo de IA del bucle que este plugin encabeza.
+## Collaborating with dsh-auto-review
 
-## Limitaciones conocidas
+- `dsh-permission-rules` produce `ask`; `dsh-auto-review` responde en la cascada `approval/request` con un veredicto de segundo modelo de solo lectura (o delega en humanos). Monta ambos para el bucle completo cerrado.
+- Probado en integración: `permissionRules/decision` → `approval/asked` → `autoReview/verdict` → `approval/decided`, con el revisor reemplazado por un mock guionado.
+- La política de aprobación `never` y toda garantía de fallo cerrado del harness oficial permanecen intactas.
 
-- `permissionRules/decision` se añade con el marcador de envoltura `ignorable: true`, de modo que cualquier build del harness carga el registro: los lectores que no conocen el tipo fuera del repositorio simplemente omiten el registro de auditoría en lugar de rechazar la sesión. Los hosts cuyo `Session.append` es anterior al marcador (la línea `0.1.0-rc.6`) lo DESCARTAN silenciosamente: el plugin los detecta en tiempo de ejecución (verificación previa de la versión del peer + una sonda del sobre añadido) y desactiva la auditoría del registro de sesión con un aviso único, para que los registros sigan siendo cargables en cualquier parte. Pon `allowUnmarkedAudit: true` para reactivar el rastro en la sesión; los registros ya escritos sin marcador pueden repararse con `scripts/repair-session-logs.mjs` antes de cargarlos en hosts con semántica required-on-read.
-- Los candidatos de `paths` son heurísticos: solo las claves de argumentos documentadas alimentan la coincidencia de rutas, y la coincidencia relativa al workspace ignora las mayúsculas ASCII solo cuando `caseInsensitivePaths` está activo.
-- Los globs son un subconjunto conservador (sin expansión de llaves): escribe dos patrones o usa el modo regex.
-- El guard de backtracking de regex es estructural, no exhaustivo: los casos de ambigüedad por alternancia sin prefijos literales (p. ej. lookarounds elaborados) son responsabilidad del autor; prefiere el modo glob para archivos no confiables.
+## Session log repair
 
-## Reparación de registros de sesión
-
-Los registros de sesión escritos antes del marcador `ignorable` pueden ser rechazados por builds más nuevos del harness (`SessionFormatUnsupportedError`). El `scripts/repair-session-logs.mjs` incluido reescribe solo las filas de auditoría objetivo para añadir `ignorable: true`, preservando los marcos, con copias de seguridad:
+Los registros de sesión escritos antes de que existiera el marcador `ignorable` pueden ser rechazados por builds más nuevas del harness (`SessionFormatUnsupportedError`). El `scripts/repair-session-logs.mjs` distribuido reescribe solo las filas de auditoría objetivo para llevar `ignorable: true`, preservando marcos, con copias de seguridad:
 
 ```sh
-node scripts/repair-session-logs.mjs scan [--home DIR]      # informa filas ajenas, sin cambios
+node scripts/repair-session-logs.mjs scan [--home DIR]      # reporta filas ajenas, no cambia nada
 node scripts/repair-session-logs.mjs repair [--home DIR] [--dry-run]
 ```
 
-`--home` por defecto es `$DSH_HOME/sessions` (o `~/.dsh/sessions`). El contrato completo está en la cabecera del script.
+`--home` por defecto es `$DSH_HOME/sessions` (o `~/.dsh/sessions`).
 
-## Desarrollo
+## Development
 
 ```sh
-pnpm install        # node ^22.19 || >=24
-pnpm run typecheck  # tsc, src + tests
-pnpm run lint       # eslint, src + tests + scripts
-pnpm test           # vitest: 139 tests, 9 suites
-pnpm run test:coverage  # puerta de cobertura (90/80/90/90)
-pnpm run build      # declaraciones tsc + bundles tsdown (lib/)
-pnpm run pack:check # build + pack (el artefacto publicado)
-node scripts/check-readme-sync.mjs  # puerta de sincronización de READMEs en cinco idiomas (también en CI)
+pnpm install            # node ^22.19 || >=24
+pnpm run typecheck      # tsc, src + tests
+pnpm run lint           # eslint, src + tests + scripts
+pnpm test               # vitest: 139 tests, 9 suites
+pnpm run test:coverage  # coverage gate (90/80/90/90)
+pnpm run build          # tsc declarations + tsdown bundles (lib/)
+pnpm run pack:check     # build + pack (the published artifact)
+node scripts/check-readme-sync.mjs   # five-language README sync gate (also in CI)
 ```
 
-Consulta [VERIFICATION.md](VERIFICATION.md) para el registro de verificación headless de extremo a extremo (deny bloqueando una herramienta de shell, ask enrutado por el seam de aprobación, `--dump-config`).
+Consulta [VERIFICATION.md](VERIFICATION.md) para el registro de verificación end-to-end sin cabeza.
+
+## Topics
+
+`dsh`, `dsh-plugin`, `deepseek-harness`, `permission`, `policy`, `allow-deny-ask`, `approval`, `safety`, `network`, `network-policy`, `proxy`
 
-## Colaboradores
+## Contributors
 
-- [@PerryLink](https://github.com/PerryLink) — creador y mantenedor: vocabulario y evaluación de reglas, runtime, vigilancia HMR, auditoría del registro de sesión y documentación en cinco idiomas.
-- [@22xuan](https://github.com/22xuan) — el detallado informe sobre los hosts rc.6 que descartan silenciosamente el marcador `ignorable` de los eventos de auditoría ([#2](https://github.com/PerryLink/dsh-permission-rules/issues/2)) y la discusión en el harness upstream; la detección de capacidades del host de v0.4.1 y la corrección de la documentación derivan directamente de ese análisis.
+- [@PerryLink](https://github.com/PerryLink) — creador y mantenedor: vocabulario y evaluación de reglas, runtime, vigilancia HMR, auditoría de registro de sesión, política de red + proxy, y la documentación en cinco idiomas.
+- [@22xuan](https://github.com/22xuan) — el informe detallado sobre hosts rc.6 que descartan silenciosamente el marcador `ignorable` del evento de auditoría ([#2](https://github.com/PerryLink/dsh-permission-rules/issues/2)) y la discusión del harness upstream; la detección de capacidad de host en runtime v0.4.1 y la corrección de documentación se derivaron directamente de ese análisis.
 
 ## PerryLink DSH Plugin Family
 
-Este proyecto es uno de los [15 plugins de DeepSeek Harness](https://github.com/PerryLink) mantenidos por [PerryLink](https://github.com/PerryLink). Si este te sirve, los demás probablemente también:
+Este proyecto es uno de los [15 plugins de DeepSeek Harness](https://github.com/PerryLink) mantenidos por [PerryLink](https://github.com/PerryLink). Si este te ayuda, los demás probablemente también:
 
 | Plugin | One-liner |
 |---|---|
@@ -212,6 +233,6 @@ Este proyecto es uno de los [15 plugins de DeepSeek Harness](https://github.com/
 | [dsh-plugin-guide](https://github.com/PerryLink/dsh-plugin-guide) | Plugin-development knowledge base as an on-demand agent skill |
 | [dsh-claude-move](https://github.com/PerryLink/dsh-claude-move) | Migrate Claude Code sessions, memory, skills and CLAUDE.md into DSH |
 
-## Licencia
+## License
 
 [Apache License 2.0](LICENSE) © 2026 dsh-permission-rules contributors